Trojan/Rootkit 2015-01-15 #3

[imadeddine wissamimadeddine wissam is verified member.]

السلام عليكم ورحمة الله

3 ملفات خبيثة للتجربة

الرابط:

[hide]

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

[/hide]

Infected

https://www.virustotal.com/en/file/2355719d287ec4725c0b8cf8d5158243293d86eb60b71a513265fcb2e5e05b25/analysis/1421317645/
https://www.virustotal.com/en/file/31a838b1f91250cc617739b2f46c8e87889388b49b90bb5a698221aa7dfc0821/analysis/1421317654/
https://www.virustotal.com/en/file/83618e79569166c17bb999d33f3de0a114266f30e45be37d1c9c2b412de5af9e/analysis/1421317662/

 

[ABDELHAK AS]

 

[خليفة احمد]

 

[toufik888]

تجربة الكاسبر3/3

 

[SkY MaRvEL]

فك الضغط

تشغيل المتبقي

 

[tiktoshitiktoshi is verified member.]

1بالفحص

2 و 3 بتشغيل

 

[dvb2010]

بمجرد فك الضغط

[hide]

[/hide]

باسوورد خاطئ

 

[tiktoshitiktoshi is verified member.]

يدعم محرك فحص سحابي كيهو و Tencent

 

[qysr]

 

[اليوناني]

الكاسبر سمول اوفيس

نسف العينة



[hide]

[/hide]

 

[Abdelkarim]

التراست بورت
بالفحص 1 ثم اكتشافه

الباقي 2

التشغيل
الملف الاول

و بعدها لا شيء

الملف الثاني

ثم بعد ذلك لا شيء من البرنامج

هل هذا اقصى ما تقوم به طبقة الابليكشن انسبيكتور ؟
أفيدوني يرحمكم الله فقد بدأت اشك في ان البرنامج به محلل سلوك فعلا

 

[Abdelkarim]

G data اكتشفهم بعد فك الضغط

و الثالث بمحرك الشركة الخاص

و لأني احب التشغيل ثم ايقاف المحركين و اعادة التجربة
الاول

الثاني

الثالث تخطى الجي داتا و ظل يتصل بأحد جيراني في الوطن

 

[MagicianMiDo32]

التراست بورت
بالفحص 1 ثم اكتشافه

مشاهدة المرفق 73199

الباقي 2
مشاهدة المرفق 73200

التشغيل
الملف الاول
مشاهدة المرفق 73201

مشاهدة المرفق 73202

مشاهدة المرفق 73203
و بعدها لا شيء

الملف الثاني
مشاهدة المرفق 73204 مشاهدة المرفق 73205 مشاهدة المرفق 73206 مشاهدة المرفق 73207

ثم بعد ذلك لا شيء من البرنامج

هل هذا اقصى ما تقوم به طبقة الابليكشن انسبيكتور ؟
أفيدوني يرحمكم الله فقد بدأت اشك في ان البرنامج به محلل سلوك فعلا

جرب خيار ريستريكت بالوسط
بالنسبة للملف الثالث هو داون لودر يحمل دودة هوديني من الانترنت علی ما اعتقد

 

[Abdelkarim]

جرب خيار ريستريكت بالوسط
بالنسبة للملف الثالث هو داون لودر يحمل دودة هوديني من الانترنت علی ما اعتقد

OK
لكن اريد ان اسألك بما انك خبير في التراست بورت

هل الابليكشن انسبيكتور يعمل كمحلل سلوك يوقف البرامج عند اكتشاف سلوكات خطيرة

ام انه فقط يعطي تنبيهات عن البرامج التي تحاول التغيير في الملفات المحمية، لأن رسائله ذكرتني بهيبس الكمودو

 

[MagicianMiDo32]

OK
لكن اريد ان اسألك بما انك خبير في التراست بورت

هل الابليكشن انسبيكتور يعمل كمحلل سلوك يوقف البرامج عند اكتشاف سلوكات خطيرة

ام انه فقط يعطي تنبيهات عن البرامج التي تحاول التغيير في الملفات المحمية، لأن رسائله ذكرتني بهيبس الكمودو

هناك 3 انواع من الحماية الديناميكية اي التي تحدد نوع الملف او تصنفه علی انه خبيث او حميد تبعا لسلوكه
النوع الأول هو حاجب السلوك الواحد
والذي يحتوي علی قواعد للسلوكيات الحميدة والخبيثة كاضافة مدخلة بدء تشغيل ستارت اب مثلا
ولا يهتم بالملف كثيرا بل يهتم بالسلوك
مثل الكومودو والارمور فهو يعترض اي سلوك خبيث
لذلك تجد انذاراته كثيرة . محاولة اضافة ستارت اب محاولة تصوير الشاشة الخ
مع وجود تقنيات اخری لمنع الانذارات الكاذبة كالقوائم البيضاء مثلا
الخلاصة انه يحجب اي سلوك خبيث
هناك حاجب السلوك الكلي مثل التراست بورت والكاسبر والذي يقوم بعمل هوك علی الملف بحقن مكتبة ربط ديناميكي .dll به ومن ثم يحلل سلوكياته ويعلمك بالسلوكيات التي سوف يقوم بها الملف بشكل مجمل (محاولة تغيير اعدادات النظام العامة )مثلا
وهو يعتبر حلقة وصل بين محلل السلوك وحاجب السلوك
وستلاحظ مع تجاربك علی البرنامج ظهور اكثر من تنبيه من البرنامج علی قاعدة رستركت لان هذة القاعدة تحجب السلوكيات الخطيرة فقط كما يفعل الهيبس
بالنسبة لمحلل السلوك فهو يراقب كل السلوكيات التي يقوم بها الملف ويحدد نوعه تروجان.. فيروس ...الخ اذا كان خبيثا
ويعلمك به اي انه يحلل كامل سلوك البرنامج
وهذة البرامج تحتوي علی تقنية الرول باك او البيئة الوهمية الساندبوكس
والفرق بينها وبين حاجب السلوك الكلي ان محلل السلوك يحدد نوع البرنامج خبيث ام حميد ويحدد نوع التهديد تروجان ام فيروس الخ بناء علی جميع سلوكيات البرنامج وحركة الصلاحيات اي كخلاصة بتشغيله
بينما حاجب السلوك الكلي يقرأ اكواد البرنامج ولا يستطيع تحديد نوع الفيروس

 

[tiktoshitiktoshi is verified member.]

التراست بورت
بالفحص 1 ثم اكتشافه

مشاهدة المرفق 73199

الباقي 2
مشاهدة المرفق 73200

التشغيل
الملف الاول
مشاهدة المرفق 73201

مشاهدة المرفق 73202

مشاهدة المرفق 73203
و بعدها لا شيء

الملف الثاني
مشاهدة المرفق 73204 مشاهدة المرفق 73205 مشاهدة المرفق 73206 مشاهدة المرفق 73207

ثم بعد ذلك لا شيء من البرنامج

هل هذا اقصى ما تقوم به طبقة الابليكشن انسبيكتور ؟
أفيدوني يرحمكم الله فقد بدأت اشك في ان البرنامج به محلل سلوك فعلا

الموضوع هدا راح يفيدك

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

 

[Abdelkarim]

جرب خيار ريستريكت بالوسط
بالنسبة للملف الثالث هو داون لودر يحمل دودة هوديني من الانترنت علی ما اعتقد

للأسف يا ميدو يظهر ان التراست بورت يرفضني

بعداستعمال rollback rx للعودة الى التراست لتجربة خيار ريستركت رفض الوندوز الاشتغال
مباشرة بعد اختفاء شعار الوندوز تظل الشاشة سوداء و يظهر المؤشر فقط
حتى ان رسالة ادخال كلمة سر الوندوز لا تظهر
انتظرت ثم انتظرت ثم انتظرت بلا فائدة

في النهاية قمت بالعودة الى اللقطة التي عليها AVG و اشتغلت بشكل طبيعي
فقمت بحذف الافج و اعادة التشغيل ثم تتبيت التراست مرة اخرى
حتى اني الغيت خيار منع جميع التطبيقات من العمل قبل التراست لشكي في انها سبب المشكل

و بعد ما يقرب من 100 م ب من التحذيثات بدت الامور طبيعية

فتحت المتصفح لاعادة تحميل العينة و ما هي الا مدة وجيزة حتى شل الجهاز بالكامل مما جعلني اعيد تشغيله قسرا

لكن بعد اعادة التشغيل نفس الحكاية شاشة سوداء

اظن ان التراست غير متوافق مع الرول باك

للأسف انتهت رحلة التراست معي مبكرا

 

[Abdelkarim]

الموضوع هدا راح يفيدك

يجب عليك تسجيل الدخول او تسجيل لمشاهدة الرابط المخفي

شكرا يا غالي على المتابعة الرائعة

سيثم التحميل و التجريب عما قريب

ما زال هناك امل يا @medo32 بعد هذا التحذيث الجديد

ان شاء الله تسير الامور بشكل طبيعي بدون شاشات سود هذه المرة

 

[The MonSteR]

للأسف يا ميدو يظهر ان التراست بورت يرفضني

بعداستعمال rollback rx للعودة الى التراست لتجربة خيار ريستركت رفض الوندوز الاشتغال
مباشرة بعد اختفاء شعار الوندوز تظل الشاشة سوداء و يظهر المؤشر فقط
حتى ان رسالة ادخال كلمة سر الوندوز لا تظهر
انتظرت ثم انتظرت ثم انتظرت بلا فائدة

في النهاية قمت بالعودة الى اللقطة التي عليها AVG و اشتغلت بشكل طبيعي
فقمت بحذف الافج و اعادة التشغيل ثم تتبيت التراست مرة اخرى
حتى اني الغيت خيار منع جميع التطبيقات من العمل قبل التراست لشكي في انها سبب المشكل

و بعد ما يقرب من 100 م ب من التحذيثات بدت الامور طبيعية

فتحت المتصفح لاعادة تحميل العينة و ما هي الا مدة وجيزة حتى شل الجهاز بالكامل مما جعلني اعيد تشغيله قسرا

لكن بعد اعادة التشغيل نفس الحكاية شاشة سوداء

اظن ان التراست غير متوافق مع الرول باك

للأسف انتهت رحلة التراست معي مبكرا

ادي اخرة جدعنة ال avg اطرد ده طلع طيب اوي

 

[Abdelkarim]

ادي اخرة جدعنة ال avg اطرد ده طلع طيب اوي

مع rollback rx هناك مكان للجميع و لا حاجة لطرد احد

للأسف اتضح ان المشكل من القرص الصلب (باد سيكتور) فحتى مع الجي داتا تجمد الجهاز للأسف

ثم حذف التراست بورت و الافج و كذلك rollback rx لأنه يفاقم مشكلة القرص الصلب عندي

بعد الحذف اصبح الجهاز طبيعيا و سريعا بعض الشيء

و ثم الاستقرار على الجي داتا لوحده الى اشعار اخر